CVE-2026-48794

Authelia, veb-portal vasitəsilə tətbiqlər üçün iki faktorlu autentifikasiya və vahid giriş (SSO) təmin edən açıq mənbəli autentifikasiya və avtorizasiya serveridir. 4.36.0-dan 4.39.19-a qədər versiyalarda, çox xüsusi kənar hallarda domenlərin kanonikallaşdırılmasının olmaması səbəbindən, girişə nəzarət qaydası sorğuya uyğun gəlməli olduğu halda atlana bilər. Zəiflik üçün təhlükəsizlik probleminə səbəb ola biləcək xüsusi şərtlər bunlardır: 1. Hücumun xüsusi hədəf resursu forwarded authorization inteqrasiyasından istifadə etməlidir; 2. Sorğulanan domen sessiya domeni ilə müqayisədə iki əlavə seqmentə malik olmalıdır, yəni `a.b.example.com` sorğulanır, lakin sessiya domeni `example.com`-dur; 3. Girişə nəzarət qaydaları hər ikisi qeyri-dəqiq domen uyğunluqları olan iki ayrı qayda müəyyən etməlidir, məsələn `*.b.example.com` və `*.example.com`, yəni wildcard-lar, istifadəçi adı uyğunluqları, qrup uyğunluqları; 4. Qaydalar ən xüsusidən ən az xüsusiyə doğru sıralanmalıdır; 5. İkinci qayda birinci qaydadan daha icazəli olmalıdır; 6. Hücumçu daha xüsusi domen üçün URL-i xüsusi olaraq sorğulamalıdır, ikinci hissədə bir və ya daha çox böyük hərf olmalıdır, məsələn `https://a.B.example.com`, və böyük hərf olan başqa seqment olmamalıdır; 7. İstifadə olunan inteqrasiya Envoy ExtAuthz inteqrasiyası olmamalıdır; və 8. Proksi sorğulanan host adını müvafiq avtorizasiya endpointinə göndərməzdən əvvəl müvafiq başlıqda kanonikallaşdırmamalıdır. Bu problemin yaranmasına və `bypass` qaydasının uyğunlaşmasına səbəb olan konfiqurasiya növü uzun müddətdir ki, qəti şəkildə tövsiyə edilmir. Əslində tamamilə yan keçilməli olan hostlar proksinin onları avtorizasiya handler-ləri ilə yoxlaması ilə qorunmamalıdır. Yamaq almaq üçün 4.39.20-yə yüksəldin.